古河電工ネットワーク機器の総合ブランド ファイテルネット
古河電工
FITELnetトップ製品ラインナップイベント&セミナーセールス&サポート
Routing to the Future FITELnet
お問い合わせはこちら
 
設定例
4.F100(F1000)とWindowsXPでIPsec通信をする
センタ(IP固定),Windows XP(IP固定)
概要
補足・注意点
ipsec-xp
前提条件
当設定例では、以下のアドレス・環境を前提に説明しています。
プロバイダより割り振られたアドレス(アドレスは一例です)
センタ側 200.200.200.1
Windows XP側 210.210.210.100
設定環境
IPsecの対象とする中継パケット 192.168.1.0/24 ⇔ 210.210.210.100
IPsec Phase1ポリシー モード ・・・ Mainモード
認証方式 ・・・ 事前共有鍵方式
暗号化方式 ・・・ 3DES
ハッシュ方式 ・・・ MD5
Diffie-Hellman ・・・ Group2
IPsec Phase2ポリシー 暗号化方式 ・・・ 3DES
ハッシュ方式 ・・・ MD5
コマンド設定の例
(!の行はコメントです。実際に入力する必要はありません。)
この設定を利用したい方は
センタ
!
!
! 特権ユーザモードに移行します。
!
Router> enable
Enter password: super ←パスワードを入力します。(実際は表示されない)

Router#
!
!
! 基本設定モードに移行します。
!
Router# configure terminal
Router(config)#
!
!
! LAN側IPアドレスを設定します。
!
Router(config)# interface lan 1
Router(config-if lan 1)# ip address 192.168.1.254 255.255.255.0
Router(config-if lan 1)# exit
!
!
! PPPoE1インタフェース設定モードに移行します。
!
Router(config)# interface pppoe 1
Router(config-if pppoe 1)#
!
! 
! PPPoEの各種設定をします。
!
Router(config-if pppoe 1)# pppoe server FLETS
!                                         サーバ名称は任意
Router(config-if pppoe 1)# pppoe account abc012@***.***.ne.jp xxxyyyzzz
!                                           アカウントID      パスワード
Router(config-if pppoe 1)# pppoe type host
Router(config-if pppoe 1)# ip address 200.200.200.1
!
! 
! NAT+の設定をします。
!
Router(config-if pppoe 1)# ip nat inside source list 1 interface
!                          インタフェース(PPPoE)のIPアドレスでNAT+変換
Router(config-if pppoe 1)# exit
!
!
! access-list に、NAT+変換前アドレス(LAN側アドレス)を登録します。
!
Router(config)# access-list 1 permit 192.168.1.0 0.0.0.255
!
!
! デフォルトルートをPPPoE1に設定します。
!
Router(config)# ip route 0.0.0.0 0.0.0.0 pppoe 1
!
!
! VPN機能を有効にします。
!
Router(config)# vpn enable
!
!
! VPN通信動作中の詳細なログを残す設定にします。
!
Router(config)# vpnlog enable
!
!
! Phase1ポリシーの設定を行ないます。
!
Router(config)# crypto isakmp policy 1
Router(config-isakmp)# negotiation-mode main
!                                WindowsXPはメインモードのみサポート
Router(config-isakmp)# authentication prekey
!                                       共通鍵方式
Router(config-isakmp)# encryption 3des
Router(config-isakmp)# hash md5
Router(config-isakmp)# group 2
!                      WindowsXPの初期設定値に合わせます
Router(config-isakmp)# key ascii SECRET-VPN
!                            対向のWindowsXPと共通のキー(文字列)を設定
Router(config-isakmp)# peer-identity address 210.210.210.100
!                                対向のWindowsXPのグローバルアドレス
Router(config-isakmp)# exit
!
!
! Phase2ポリシーの設定を行ないます。
!
Router(config)# ipsec transform-set P2-POLICY esp-3des esp-md5-hmac
!                                      名称は任意   暗号方式 ハッシュ方式
!
! VPNセレクタの設定を行ないます。
!
Router(config)# ipsec access-list 1 ipsec ip 192.168.1.0 0.0.0.255 210.210.210.100 0.0.0.0
!                                       暗号化    送信元IPアドレス          送信先IPアドレス
!                                       送信先IPアドレスが単一IPアドレスであることがポイントです
Router(config)# ipsec access-list 64 bypass ip any any
!                                        暗号化せず通過
Router(config)# crypto map WinXP 1
!                            マップ名は任意
Router(config-crypto-map)# match address 1
!                                          IPsecアクセスリスト番号
Router(config-crypto-map)# set peer address 210.210.210.100
!                                     WindowsXPのグローバルアドレス
Router(config-crypto-map)# set transform-set P2-POLICY
!                                     Phase2ポリシーとの関連付け
Router(config-crypto-map)# exit
Router(config)# interface pppoe 1
Router(config-if pppoe 1)# crypto map WinXP
!                                       マップ(VPNセレクタ)との関連付け
Router(config-if pppoe 1)# exit
!
!
! 特権ユーザモードに戻ります。
!
Router(config)# end
!
!
! 設定を保存します。
!
Router# save SIDE-*.cfg ←*には、保存したい面に応じて、A・Bのどちらかを入れる
% saving working-config
% finished saving
!
!
! 設定を有効にするために再起動します。
!
Router# reset
Are you OK to cold start?(y/n) y
WindowsXP
※ WindowsXPは固定IPアドレスであること

1. MMC(Microsoft Management Console)を起動します 「スタート」ボタン→「ファイル名を指定して実行」から"mmc"と入力します。 2.「ファイル」→「スナップインの追加と削除」から次のスナップインを追加 ・IPセキュリティポリシーの管理 ・IPセキュリティモニタ(インストールしなくともIPsec通信に影響はありません)
xp001
3a.「操作」→「IPフィルタ一覧とフィルタ操作の管理」からフィルタの作成
   「IPフィルタ一覧の管理」タブにてIPフィルタを追加します。
      ※このフィルタは送信方向と受信方向の2種類必要です
   IPフィルタウィザードでは次の設定を行います。(名前は任意)

      to F100(送信方向)
      ・IPトラフィックの発信元          このコンピュータ
      ・IPトラフィックの宛先            192.168.1.0/24
      ・IPプロトコルの種類              任意
      ・プロパティを編集する            チェックします
      ・ミラー化                        チェック外します

      to XP(受信方向)
      ・IPトラフィックの発信元          192.168.1.0/24
      ・IPトラフィックの宛先            このコンピュータ
      ・IPプロトコルの種類              任意
      ・プロパティを編集する            チェックします
      ・ミラー化                        チェック外します
xp002
3b.「フィルタ操作の管理」タブにてフィルタ操作を追加
   フィルタ操作ウィザードでは次の設定を行います。
      ・名前                            任意(この例ではVPN)
      ・フィルタ操作の全般オプション    セキュリティのネゴシエート
      ・IPsecをサポートしないコンピュータと通信しない
      ・IPトラフィックセキュリティ      カスタム→「設定」へ
      ・AH                              チェック外す
      ・ESP                             MD5、3DES
      ・セッションキーの設定            秒(時間方式)を選択
xp003
4. 「操作」→「IPセキュリティポリシーの作成」にてポリシーの追加
   IPセキュリティポリシーウィザードでは次の設定を行います。
      ・名前                                任意(この例ではIPsec)
      ・セキュリティで保護された通信の要求  チェック外す(規定の応答規則無効)

   セキュリティ規則に関するウィンドウが開きます。
   ここでも送信方向と受信方向の2種類を追加します。

   送信方向
      ・トンネルエンドポイント              200.200.200.1
      ・ネットワークの種類                  すべてのネットワーク接続
      ・認証方法                            事前共有キー「SECRET-VPN」
      ・IPフィルタ一覧                      送信方向の「to F100」
      ・フィルタ操作                        「VPN」
      ・プロパティを編集する                チェック外す

   受信方向
      ・トンネルエンドポイント              210.210.210.100
      ・ネットワークの種類                  すべてのネットワーク接続
      ・認証方法                            事前共有キー「SECRET-VPN」
      ・IPフィルタ一覧                      送信方向の「to XP」
      ・フィルタ操作                        「VPN」
      ・プロパティを編集する                チェック外す
xp004
5. 設定の有効化
   作成したIPsec設定の初期状態は無効状態です。
   (ポリシーの割り当てが"いいえ")
   画面右の"IPsec"を右クリック→割り当て
xp005
※ 補足事項
   WindowsXPではISAKMP SAに関する設定を初期値として既に4セット持っているため、
   この設定例ではそのまま使用しました。
   任意に設定する場合は、MMC画面内右の「IPsec」をダブルクリック
   →「全般タブ」→「詳細設定」→「メソッド」で表示される画面にて行えます。
xp006

ページトップへ

All Rights Reserved, Copyright(C) FURUKAWA ELECTRIC CO., LTD. 2007